Revizori nastavljaju da pišu isti izveštaj
Svake godine, Federalni zakon o modernizaciji informacione bezbednosti (FISMA) zahteva da glavni inspektor svake agencije testira njenu sajber bezbednost.
Audit fiskalne godine 2025, objavljen ovog jula, zaključio je da VA “i dalje suočava se sa značajnim izazovima” u ispunjavanju zahteva ovog zakona. Pronađene su mane u osnovnim oblastima: ko dobija pristup, kako su sistemi konfigurisani, kako se bezbednost upravlja i da li VA može da nastavi da radi kada nešto zakaže. Sedamnaest od 23 preporuke od prethodne godine još su otvorene, bilo da su ponovljene ili izmenjene.
Detalji su gore nego sažetak
Revizori su pronašli „nebezbedne web-bazirane servise koji bi mogli omogućiti zlonamernim korisnicima da steknu neovlašćen pristup VA informatičkim sistemima“, zastarele operativne sisteme i medicinske uređaje koji koriste softver koji dobavljač više ne podržava. Takođe su primetili da „mnogi od VA-inih nasleđenih sistema već godinama su zastareli i više nisu podržani od strane dobavljača.“ I VA „nije sproveo sveobuhvatne i akreditovane skeniranja ranjivosti svih sistema povezanih na VA mrežu“, što znači da nije imao potpunu evidenciju sopstvenih rupa.
Čitanje ovih revizorskih izveštaja jedan za drugim je kao gledanje kako se farba suši.
Ništa od ovoga nije novo. Revizori VA-ine finansijske izveštine IT bezbednosne kontrole su više od deset godina opisivali kao „materijalna slabost“, najtežu kategoriju nalaza!
VA-in FY 2025 Agency Financial Report i dalje to navodi, sa rokom za popravku do FY 2027. Kada je VA Office of Inspector General (OIG) prošle godine posetio Spokane VA medicinski centar, osoblje nije na vreme otklonilo više kritičnih i visokorizičnih ranjivosti, a volonteri i službenici za raspored su mogli da vide ekrane sa ličnim podacima koji nisu bili skriveni.
U vojsci bismo ovo nazvali neuspehom: UNSAT.
Pronalazak problema je jedna stvar. Pisanje izveštaja svake godine i nikada njegovo rešavanje su problem rukovodstva.
Ako bi ista oprema deset godina uzastopno pala na inspekciji, niko ne bi napisao još jedan izveštaj. Neko bi dobio novi posao.
Veterani su se već ranije opeklili. Godine 2006, jedan VA zaposlenik je odneo kući nešifrovani tvrdi disk koji je sadržao podatke o otprilike 26,5 miliona veterana i vojnika, i to je ukradeno tokom provale.
U 2020, napadači su koristili socijalni inženjering i slabost autentikacije da uđu u platnu aplikaciju VA Financial Services Center. Oni su preusmerili isplate namenjene pružaocima zajedničke nege i izložili podatke otprilike 46.000 veterana.
Zašto AI menja računicu
Ovo je mesto gde se javlja moja briga oko AI botova (ili agenata). AI agent je softver koji ne samo da odgovara na pitanja. On sam sprovodi radnje, korak po korak. I to više nije teorija.
U novembru 2025, Anthropic je objavio da je grupa koju su procenili da je državni sponzor iz Kine upotrebila njegovog agenta za kodiranje da napadne oko 30 organizacija, uključujući vladine agencije. AI je obavila procenjenih 80 do 90 odsto posla: izviđanje, pronalaženje ranjivosti, pisanje eksploatacionog koda, prikupljanje lozinki i izvlačenje podataka. Na vrhuncu, slala je hiljade zahteva, često nekoliko puta u sekundi. Nekoliko od upada je uspelo.
Nepatchovani web serveri, zastareli softver i nepotpuna mapa sopstvenih ranjivosti nekada su bili podnošljivi, jer ljudi hakeri imaju ograničeno vreme. AI agent se ne umara, i može da testira svaka vrata mašinskom brzinom. Zamislite lopova koji nikada ne spava, nikada ne jede, nikada ne uzima pauzu i može da pomeri kvake svake zgrade nekoliko puta u sekundi. To je novi komšija.
VA se ne zadržava na mestu, i neću da pretpostavim da jeste. VA.gov je rekonstruisan i ponovo pokrenut 2018. Godine 2025 VA je zamenio svoje stare lozinke My HealtheVet i DS Logon lozinke novim identitetom potvrđenim preko Login.gov, ID.me ili CLEAR naloga uz višefaktornu autentifikaciju. To je upravo vrsta poteza koji smanjuje napade na pristupne kredencijale, gde botovi pokušavaju ukradene lozinke iz drugih proboja.
VA je takođe zamenio gotovo 50-godišnji glavni računar mreže Benefits Delivery Network (koji je pokretao COBOL, stari programski jezik) cloud platformom 2025. Migracija je donela kašnjenja isplata GI Billa, ali je završena. VA se opredelio za model bezbednosti “Zero Trust” još 2022. godine.
Šta VA treba da uradi
- Zatvorite ponovljene nalaze najpre. Pre nego što kupujete bilo šta novo, otklonite probleme sa pristupom, zakrpama i konfiguracijom na koje je OIG godinama ukazivao, i objavite napredak kvartalno.
- Skenirajte sve, uvek. Pokrenite kompletna, akreditovana skeniranja ranjivosti na svaki povezani sistem i medicinski uređaj, kako su tražili revizori.
- Borba mašinama mašinama. DARPA-ina AI Cyber Challenge pokazala je da AI sistemi nalaze i zakrpaju softverske greške u proseku oko 45 minuta po zadatku, uz otprilike 152 dolara po zadatku. VA treba da koristi alate slične tom na sopstvenom kodu pre nego što to uradi protivnik.
- Isplanirajte saobraćaj AI-agenata na VA.gov. Uvedite limite brzine, detekciju botova i nadzor zloupotrebe prilagođen za napade koji rade mašinskom brzinom.
- Držite izvođače istim standardom. Uključite brze odredbe za obaveštavanje o proboju u svaki ugovor.
- Pažljivo usvajajte AI iznutra.
Zaradili smo ove beneficije. Naši zapisi, naši zdravstveni podaci i naši brojevi socijalnog osiguranja ne bi trebalo da budu zaštićeni sistemi koje sopstveni VA-ini revizori nazivaju zastarelim.
